211service.com
Wewnątrz nieoczekiwanego dążenia Chin do ochrony prywatności danych
Nowa ustawa o ochronie prywatności bardzo przypominałaby europejskie RODO — ale czy ograniczy nadzór państwowy? 19 sierpnia 2020 r.
Stefan Chow
Późnym latem 2016 roku Xu Yuyu otrzymała telefon, który obiecał zmienić jej życie. Powiedziano jej, że dzięki wynikom egzaminów wstępnych do college'u dostała się na wydział anglistyki na Uniwersytecie Poczt i Telekomunikacji w Nankinie. Xu mieszkał w mieście Linyi w Shandong, przybrzeżnej prowincji Chin, na południowy wschód od Pekinu. Pochodziła z biednej rodziny, szczególnie uzależnionej od skromnych dochodów ojca. Ale jej rodzice mozolnie oszczędzali na jej naukę; bardzo niewielu jej krewnych kiedykolwiek studiowało.
Kilka dni później Xu otrzymała kolejny telefon z informacją, że otrzymała również stypendium. Aby zebrać 2600 juanów (370 dolarów), musiała najpierw wpłacić opłatę aktywacyjną w wysokości 9900 juanów na swoje konto uniwersyteckie. Po złożeniu wniosku o pomoc finansową zaledwie kilka dni wcześniej, przesłała pieniądze na numer podany przez dzwoniącego. Tej nocy rodzina pobiegła na policję, aby zgłosić, że zostali oszukani. Ojciec Xu powiedział później, że jego największym żalem było pytanie oficera, czy nadal mogą odzyskać swoje pieniądze. Odpowiedź – prawdopodobnie nie – tylko pogłębiła dewastację Xu. W drodze do domu dostała ataku serca. Zmarła w szpitalu dwa dni później.
Ta historia była częścią naszego wydania z września 2020 r.
- Zobacz resztę numeru
- Subskrybuj
Dochodzenie wykazało, że chociaż pierwszy telefon był prawdziwy, drugi pochodził od oszustów, którzy zapłacili hakerowi za numer Xu, status przyjęcia i prośbę o pomoc finansową.
Dla chińskich konsumentów zbyt dobrze zaznajomionych z kradzieżą danych Xu stał się symbolem. Jej śmierć wywołała ogólnokrajowy protest na rzecz większej ochrony prywatności danych. Zaledwie kilka miesięcy wcześniej Unia Europejska przyjęła Ogólne rozporządzenie o ochronie danych (RODO), które jest próbą zapewnienia obywatelom Europy kontroli nad sposobem wykorzystywania ich danych osobowych. Tymczasem Donald Trump miał wygrać amerykańskie wybory prezydenckie, częściowo napędzany kampanią, która w dużym stopniu opierała się na danych wyborców. Dane te zawierały szczegóły dotyczące 87 milionów kont na Facebooku, nielegalnie uzyskanych przez firmę konsultingową Cambridge Analytica. Chińscy regulatorzy i prawnicy uważnie obserwowali te wydarzenia.
Na Zachodzie powszechnie uważa się, że ani chiński rząd, ani Chińczycy nie dbają o prywatność. Amerykańscy giganci technologiczni zachowują tę rzekomą obojętność, aby argumentować, że uciążliwe przepisy dotyczące prywatności postawią ich w niekorzystnej sytuacji konkurencyjnej wobec chińskich firm. W swoim zeznaniu w Senacie z 2018 r. po skandalu z Cambridge Analytica, dyrektor generalny Facebooka, Mark Zuckerberg, wezwał organy regulacyjne, aby nie ograniczały zbyt mocno technologii takich jak rozpoznawanie twarzy. Wciąż musimy to zrobić, aby amerykańskie firmy mogły wprowadzać innowacje w tych obszarach, powiedział, bo inaczej zostaniemy w tyle za chińskimi konkurentami i innymi na całym świecie.
W rzeczywistości ten obraz chińskiego stosunku do prywatności jest nieaktualny. W ciągu ostatnich kilku lat rząd chiński, dążąc do wzmocnienia zaufania konsumentów i udziału w gospodarce cyfrowej, zaczął wdrażać zabezpieczenia prywatności, które pod wieloma względami przypominają te w Ameryce i Europie.
Jednak nawet gdy rząd wzmocnił prywatność konsumentów, wzmocnił nadzór państwowy. Wykorzystuje próbki DNA i inne dane biometryczne, takie jak rozpoznawanie twarzy i odcisków palców, do monitorowania obywateli w całym kraju. Zaostrzyła cenzurę internetową i rozwinęła system kredytu społecznego, który karze zachowania, które zdaniem władz osłabiają stabilność społeczną. Podczas pandemii wdrożył system aplikacji kodu zdrowia, aby dyktować, kto może podróżować, w oparciu o ryzyko przenoszenia koronawirusa. I wykorzystał mnóstwo inwazyjnych technologii inwigilacyjnych w swoich surowych represjach wobec muzułmańskich Ujgurów w północno-zachodnim regionie Sinciang.
Ten paradoks stał się charakterystyczną cechą powstającego chińskiego reżimu ochrony danych, mówi Samm Sacks, wiodący chiński naukowiec w Yale and New America, think tanku w Waszyngtonie. Rodzi to pytanie: czy system może wytrzymać silną ochronę prywatności konsumentów, ale prawie żadnej ochrony przed rządowym szpiegowaniem? Odpowiedź nie dotyczy tylko Chin. Jej firmy technologiczne mają coraz bardziej globalny zasięg, a organy regulacyjne na całym świecie obserwują jej decyzje polityczne.
Listopad 2000 to prawdopodobnie narodziny nowoczesnego chińskiego państwa inwigilacyjnego. W tym samym miesiącu Ministerstwo Bezpieczeństwa Publicznego, agencja rządowa, która nadzoruje codzienne egzekwowanie prawa, ogłosiła nowy projekt na targach w Pekinie. Agencja przewidziała scentralizowany system krajowy, który integrowałby zarówno nadzór fizyczny, jak i cyfrowy przy użyciu najnowszych technologii. Został nazwany Złotą Tarczą.
Chcąc zarobić, zachodnie firmy, w tym amerykański konglomerat Cisco, fiński gigant telekomunikacyjny Nokia i kanadyjski Nortel Networks, współpracowały z agencją nad różnymi częściami projektu. Pomogli zbudować ogólnokrajową bazę danych do przechowywania informacji o wszystkich dorosłych Chińczykach i opracowali zaawansowany system kontroli przepływu informacji w Internecie — który ostatecznie stał się Wielką Zaporą Sieciową. Znaczna część zaangażowanego sprzętu została już w rzeczywistości ustandaryzowana, aby ułatwić inwigilację w USA – konsekwencja ustawy Communications Assistance for Law Enforcement Act z 1994 roku.
Chiński rząd zaczął wdrażać ochronę prywatności, która przypomina te w Ameryce i Europie.
Pomimo znormalizowanego sprzętu, projekt Złotej Tarczy był utrudniony przez silosy danych i wojny o terytorium w chińskim rządzie. Z biegiem czasu dążenie ministerstwa do stworzenia jednego, ujednoliconego systemu przekształciło się w dwie odrębne operacje: system nadzoru i baz danych, poświęcony gromadzeniu i przechowywaniu informacji oraz system kredytów socjalnych, w którym uczestniczy około 40 departamentów rządowych. rzeczy, które są niedozwolone — od spacerów po jeździe po korupcję w biznesie — ich ocena kredytowa spada i mogą zostać zablokowane na takie rzeczy, jak kupowanie biletów kolejowych i lotniczych lub ubieganie się o kredyt hipoteczny.
W tym samym roku Ministerstwo Bezpieczeństwa Publicznego ogłosiło Złotą Tarczę, Hong Yanqing wstąpił na policyjny uniwersytet ministerstwa w Pekinie. Ale po siedmiu latach szkolenia, po uzyskaniu stopni licencjata i magistra, Hong zaczął się zastanawiać, czy nie zostać policjantem. Zamiast tego aplikował na studia za granicą. Jesienią 2007 roku przeniósł się do Holandii, aby rozpocząć doktorat z międzynarodowego prawa praw człowieka, zatwierdzony i dotowany przez chiński rząd.
W ciągu kolejnych czterech lat zapoznał się z zachodnią praktyką prawniczą dzięki rozprawom doktorskim i cyklom staży w organizacjach międzynarodowych. Pracował w Międzynarodowej Organizacji Pracy nad globalnym prawem dyskryminacji w miejscu pracy oraz Światowej Organizacji Zdrowia nad bezpieczeństwem ruchu drogowego w Chinach. To bardzo legalistyczna kultura na Zachodzie – to naprawdę mnie uderza. Wydaje się, że ludzie często chodzą do sądu, mówi. Na przykład, jeśli chodzi o prawa człowieka, większość podręczników dotyczy ważnych spraw w sądzie rozstrzygających kwestie praw człowieka.
Hong uznał to za dziwnie nieefektywne. Uważał, że udanie się do sądu jest ostatecznością w celu naprawienia niedoskonałości prawa, a nie głównym narzędziem do jego ustanowienia. Uważał, że prawodawstwo opracowane bardziej kompleksowo i z większą przezornością przyniosłoby lepsze wyniki niż system łatany razem poprzez przypadkowe nagromadzenie orzecznictwa, jak w USA.
Po ukończeniu studiów przeniósł te pomysły z powrotem do Pekinu w 2012 roku, w przededniu objęcia urzędu prezydenta przez Xi Jinpinga. Hong pracował w Programie Rozwoju ONZ, a następnie jako dziennikarz „Dziennika Ludowego”, największej gazety w Chinach, której właścicielem jest rząd.
Xi zaczął szybko rozszerzać zakres rządowej cenzury. Wpływowi komentatorzy, czyli Big V – nazwani tak od swoich zweryfikowanych kont w mediach społecznościowych – poczuli się swobodnie, krytykując i wyśmiewając Komunistyczną Partię Chin. Jesienią 2013 roku partia aresztowała setki mikroblogerów za to, co określiła jako złośliwe plotki, i zaprezentowała szczególnie wpływowego blogera w ogólnokrajowej telewizji, aby dać mu przykład.
Moment ten oznaczał początek nowej ery cenzury. W następnym roku powstała Administracja Cyberprzestrzeni Chin. Nowa centralna agencja była odpowiedzialna za wszystko, co dotyczyło regulacji internetu, w tym bezpieczeństwo narodowe, cenzurę mediów i mowy oraz ochronę danych. Hong opuścił People’s Daily i dołączył do działu spraw międzynarodowych agencji. Reprezentował ją w ONZ i innych globalnych organach oraz pracował nad współpracą w zakresie cyberbezpieczeństwa z innymi rządami.
Do lipca 2015 roku Administracja Cyberprzestrzeni opublikowała projekt swojej pierwszej ustawy. Ustawa o cyberbezpieczeństwie, która weszła w życie w czerwcu 2017 r., wymagała od firm uzyskania zgody od ludzi na zbieranie ich danych osobowych. Jednocześnie zaostrzył cenzurę Internetu, zakazując anonimowym użytkownikom — przepis wymuszany przez regularne rządowe inspekcje danych od dostawców usług internetowych.
Wiosną 2016 roku Hong starał się wrócić do środowiska akademickiego, ale agencja poprosiła go, aby został. Ustawa o cyberbezpieczeństwie celowo pozostawiła niejasne przepisy dotyczące ochrony danych osobowych, ale naruszenia i kradzieże danych konsumentów osiągnęły poziom nie do zniesienia. Badanie przeprowadzone w 2016 r. przez Internet Society of China wykazało, że 84% ankietowanych doświadczyło wycieku swoich danych, w tym numerów telefonów, adresów i danych konta bankowego. To spowodowało rosnącą nieufność do dostawców usług cyfrowych, którzy wymagali dostępu do danych osobowych, takich jak aplikacje do zamawiania przejazdów, dostawy żywności i aplikacje finansowe. Śmierć Xu Yuyu wylała olej na płomienie.
Rząd obawiał się, że takie nastroje osłabią uczestnictwo w gospodarce cyfrowej, która stała się centralną częścią jego strategii wspierania spowalniającego wzrostu gospodarczego kraju. Nadejście RODO uświadomiło również rządowi, że chińscy giganci technologiczni będą musieli spełnić globalne normy prywatności, aby móc rozwijać się za granicą.
Hong objął kierownictwo nowej grupy zadaniowej, która miałaby opracować specyfikację ochrony danych osobowych (PIPS), aby pomóc w rozwiązaniu tych problemów. Dokument, choć niewiążący, powie firmom, w jaki sposób regulatorzy zamierzają wdrożyć ustawę o cyberbezpieczeństwie. Rząd miał nadzieję, że przy tym skłoni ich do samodzielnego przyjęcia nowych norm ochrony danych.
Grupa zadaniowa Honga zabrała się za przetłumaczenie na chiński każdego odpowiedniego dokumentu, jaki udało im się znaleźć. Przetłumaczyli wytyczne dotyczące prywatności wydane przez Organizację Współpracy Gospodarczej i Rozwoju oraz jej odpowiednik, Współpracę Gospodarczą Azji i Pacyfiku; przetłumaczyli RODO i kalifornijską ustawę o ochronie prywatności konsumentów. Przetłumaczyli nawet Białą Domową Ustawę o Ochronie Prywatności Konsumentów z 2012 roku, wprowadzoną przez administrację Obamy, ale nigdy nie przekształconą w prawo. Przez cały czas Hong spotykał się regularnie z europejskimi i amerykańskimi regulatorami ochrony danych i naukowcami.
Stopniowo, z dokumentów i konsultacji wyłaniał się ogólny wybór. Ludzie mówili w bardzo uproszczony sposób: „Mamy model europejski i model amerykański” — wspomina Hong. Te dwa podejścia znacznie różniły się w filozofii i implementacji. Który z nich do naśladowania stał się pierwszą debatą grupy zadaniowej.
U podstaw modelu europejskiego leży idea, że ludzie mają podstawowe prawo do ochrony swoich danych. RODO nakłada ciężar dowodu na podmioty zbierające dane, takie jak firmy, w celu wykazania, dlaczego potrzebują danych. Z kolei model amerykański uprzywilejowuje przemysł przed konsumentami. Przedsiębiorstwa same określają, co stanowi rozsądne gromadzenie danych; konsumenci mogą tylko wybrać, czy chcą korzystać z tej firmy. Przepisy dotyczące ochrony danych są również znacznie bardziej fragmentaryczne niż w Europie, podzielone między regulatorów sektorowych i poszczególne państwa.
Pracownik kontroli epidemii sprawdza temperaturę osób czekających w kolejce na testy na Covid-19 w dzielnicy Xicheng w centrum Pekinu.
KEVIN FRAYER/GETTY OBRAZYW tamtym czasie, bez centralnego prawa i jednej agencji odpowiedzialnej za ochronę danych, model chiński bardziej przypominał model amerykański. Grupa zadaniowa uznała jednak podejście europejskie za przekonujące. Jak mówi Hong, struktura zasad europejskich, cały system, jest bardziej przejrzysty.
Jednak większość członków grupy zadaniowej stanowili przedstawiciele chińskich gigantów technologicznych, takich jak Baidu, Alibaba i Huawei, i uważali, że RODO jest zbyt restrykcyjne. Przyjęli więc jego szeroki zakres — w tym ograniczenia w zakresie gromadzenia danych oraz wymagania dotyczące przechowywania i usuwania danych — a następnie poluzowali nieco jego język. Na przykład zasada minimalizacji danych RODO stanowi, że w zamian za usługę należy gromadzić tylko niezbędne dane. PIPS pozwala na gromadzenie innych danych istotnych dla świadczonej usługi.
PIPS wszedł w życie w maju 2018 r., w tym samym miesiącu, w którym ostatecznie weszło w życie RODO. Ale gdy chińscy urzędnicy obserwowali wstrząsy w USA wokół skandalu Facebooka i Cambridge Analytica, zdali sobie sprawę, że niewiążąca umowa nie wystarczy. Ustawa o cyberbezpieczeństwie nie miała silnego mechanizmu egzekwowania ochrony danych. Organy regulacyjne mogły nałożyć grzywnę na osoby naruszające przepisy w wysokości do 1 000 000 juanów (140 000 USD), co jest nieistotną kwotą dla dużych firm. Wkrótce potem Narodowy Kongres Ludowy, najwyższy organ ustawodawczy w Chinach, przegłosował rozpoczęcie prac nad projektem ustawy o ochronie danych osobowych w obecnym pięcioletnim okresie legislacyjnym, który kończy się w 2023 roku. Wzmocniłoby to przepisy dotyczące ochrony danych, przewidywało surowsze kary i potencjalnie utworzyć nową agencję egzekucyjną.
Po Cambridge Analytica, mówi Hong, agencja rządowa zrozumiała: „Ok, jeśli tak naprawdę nie wdrożysz ani nie egzekwujesz tych zasad prywatności, możesz mieć poważny skandal, który może mieć wpływ nawet na sprawy polityczne”.
Lokalne śledztwo policyjne w sprawie śmierci Xu Yuyu w końcu zidentyfikowało oszustów, którzy do niej zadzwonili. To był siedmioosobowy gang, który oszukał wiele innych ofiar z ponad 560 000 juanów, używając nielegalnie uzyskanych danych osobowych. Sąd orzekł, że śmierć Xu była bezpośrednim skutkiem stresu związanego z utratą rodzinnych oszczędności. Z tego powodu i jego roli w aranżowaniu dziesiątek tysięcy innych rozmów, przywódca Chen Wenhui, lat 22, został skazany na dożywocie. Pozostali otrzymali wyroki od 3 do 15 lat.
Ośmielone chińskie media i konsumenci zaczęli bardziej otwarcie krytykować naruszenia prywatności. W marcu 2018 r. dyrektor generalny Baidu, giganta wyszukiwania internetowego, Robin Li, wywołał oburzenie w mediach społecznościowych, sugerując, że chińscy konsumenci są gotowi wymienić prywatność na bezpieczeństwo, wygodę lub wydajność. Nonsens, napisał użytkownik mediów społecznościowych, później cytowany przez People’s Daily. Bardziej trafne jest stwierdzenie, że [jest] niemożliwe, aby skutecznie bronić [naszej prywatności].
Pod koniec października 2019 r. użytkownicy mediów społecznościowych po raz kolejny wyrazili złość po tym, jak zaczęły krążyć zdjęcia uczniów noszących opaski monitorujące fale mózgowe, rzekomo w celu poprawy ich koncentracji i uczenia się. Lokalne władze oświatowe w końcu wkroczyły i nakazały szkole zaprzestać używania opasek, ponieważ naruszają one prywatność uczniów. Tydzień później chiński profesor prawa pozwał zoo w Hangzhou za zastąpienie systemu wprowadzania odcisków palców systemem rozpoznawania twarzy, twierdząc, że zoo nie uzyskało jego zgody na przechowywanie jego wizerunku.
Jednak rosnąca wrażliwość społeczeństwa na naruszenia prywatności konsumentów nie doprowadziła do wielu ograniczeń nadzoru państwowego, ani nawet jego szczegółowej kontroli. Jak wskazuje Maya Wang, badaczka z Human Rights Watch, dzieje się tak po części dlatego, że większość chińskich obywateli nie zna skali ani zakresu działań rządu. W Chinach, podobnie jak w Stanach Zjednoczonych i Europie, istnieją szerokie odstępstwa od przepisów dotyczących ochrony danych w zakresie bezpieczeństwa publicznego i narodowego. Na przykład ustawa o cyberbezpieczeństwie pozwala rządowi żądać danych od prywatnych podmiotów, aby pomóc w dochodzeniach karnych. Ministerstwo Bezpieczeństwa Publicznego gromadzi również bezpośrednio ogromne ilości danych o osobach. Dzięki temu można wzmocnić prywatność danych w przemyśle bez znaczącego ograniczania dostępu państwa do informacji.
Jednak wybuch pandemii zaburzył tę niespokojną równowagę.
11 lutego Ant Financial, gigant technologii finansowych z siedzibą w Hangzhou, mieście na południowy zachód od Szanghaju, wydał platformę do tworzenia aplikacji o nazwie AliPay Health Code. Tego samego dnia rząd Hangzhou wydał aplikację, którą zbudował przy użyciu platformy. Aplikacja Hangzhou poprosiła ludzi o samodzielne zgłaszanie swoich informacji dotyczących podróży i zdrowia, a następnie nadała im kod koloru: czerwony, żółty lub zielony. Nagle 10 milionów mieszkańców Hangzhou musiało pokazać zielony kod, aby wsiąść do metra, zrobić zakupy spożywcze lub wejść do centrum handlowego. W ciągu tygodnia samorządy w ponad 100 miastach wykorzystały AliPay Health Code do opracowania własnych aplikacji. Konkurencyjny gigant technologiczny Tencent szybko podążył za własną platformą do ich budowy.
Aplikacje ujawniły niepokojący poziom nadzoru państwowego i wywołały nową falę debaty publicznej. W marcu Hu Yong, profesor dziennikarstwa na Uniwersytecie Pekińskim i wpływowy bloger Weibo, przekonywał, że rządowe gromadzenie danych dotyczących pandemii przekroczyło pewną granicę. Pisał, że nie tylko doprowadziło to do kradzieży informacji, ale także otworzyło drzwi do wykorzystania takich danych w sposób wykraczający poza ich pierwotny cel. Czy historia kiedykolwiek pokazała, że gdy rząd posiada narzędzia inwigilacyjne, będzie zachowywał skromność i ostrożność podczas ich używania? on zapytał.
Czy historia kiedykolwiek pokazała, że gdy rząd posiada narzędzia inwigilacyjne, będzie zachowywał skromność i ostrożność podczas ich używania?
Rzeczywiście, pod koniec maja ujawnione dokumenty ujawniły plany rządu Hangzhou dotyczące stworzenia bardziej trwałej aplikacji z kodami zdrowotnymi, która oceniałaby obywateli pod kątem zachowań, takich jak ćwiczenia, palenie i spanie. Po publicznym oburzeniu urzędnicy miejscy odwołali projekt. Te państwowe media opublikowały również artykuły krytykujące aplikację, która prawdopodobnie pomogła.
Debata szybko dotarła do rządu centralnego. W tym miesiącu Ogólnopolski Zjazd Ludowy ogłosił, że zamierza przyspieszyć wprowadzenie ustawy o ochronie danych osobowych. Skala danych zebranych podczas pandemii sprawiła, że zdecydowane egzekwowanie prawa stało się pilniejsze, stwierdzili delegaci i podkreślili potrzebę wyjaśnienia zakresu rządowych procedur gromadzenia i usuwania danych podczas specjalnych sytuacji kryzysowych. W lipcu organ ustawodawczy zaproponował nowy, ścisły proces zatwierdzania władz rządowych przed zebraniem danych z platform sektora prywatnego. Język znowu pozostaje niejasny, do uzupełnienia później – być może za pomocą innego niewiążącego dokumentu – ale ten ruch może oznaczać krok w kierunku ograniczenia szerokiego zakresu istniejących zwolnień rządowych dla bezpieczeństwa narodowego, napisał Sacks i inni chińscy uczeni z Nowej Ameryki.
Hong uważa również, że rozbieżność między zasadami rządzącymi przemysłem a zbieraniem danych przez rząd nie będzie trwała, a rząd wkrótce zacznie ograniczać swój zakres. Nie możemy po prostu zwracać się do jednego aktora, pomijając drugiego, mówi. To nie byłoby bardzo naukowe podejście.
Inni obserwatorzy się z tym nie zgadzają. Wang z Human Rights Watch twierdzi, że rząd mógłby z łatwością podjąć powierzchowne wysiłki, aby zareagować na sprzeciw opinii publicznej wobec gromadzenia widocznych danych, nie dotykając istoty działań krajowych Ministerstwa Bezpieczeństwa Publicznego. Dodaje, że wszelkie przepisy byłyby prawdopodobnie egzekwowane nierównomiernie: W Sinkiang muzułmanie tureccy nie mają nic do powiedzenia na temat tego, jak są traktowani.
Mimo to Hong pozostaje optymistą. W lipcu rozpoczął pracę jako nauczyciel prawa na Uniwersytecie Pekińskim, a obecnie prowadzi blog na temat cyberbezpieczeństwa i kwestii związanych z danymi. Co miesiąc spotyka się z rozwijającą się społecznością inspektorów ochrony danych w Chinach, którzy uważnie obserwują ewolucję zarządzania danymi na całym świecie.
Aktualizacja: Do utworu dodano dodatkowe cytaty.